PQC StatusVotre cryptographie a une date d’expiration.
RSA et les courbes elliptiques sont dépréciés après 2030 et interdits après 2035 selon le projet NIST IR 8547. Voyez où vous en êtes, puis ce qu’il reste à faire.
- Mars 2025PCI DSS 12.3.3 : inventaire des suites obligatoire
- Fin 2026UE : inventaires et feuilles de route nationales
- Décembre 2027Cyber Resilience Act pleinement applicable
- Fin 2030UE : systèmes à haut risque migrés, RSA-2048 déprécié
- 2035RSA et ECC interdits (NIST, projet)
Négociations TLS passives, comme un navigateur. Sans inscription.
Où en est la France
Part des sites qui négocient l’échange de clés post-quantique, mesurée chaque mois par notre observatoire.
Sans CDN, seuls 25 % des banques et assureurs négocient l’échange de clés post-quantique sur leurs propres serveurs. Voir l’observatoire
Observatoire, novembre 2026. Pays détecté depuis votre IP (non conservée) avec DB-IP
Développeurs
pqcstatus scan dans la CI, SARIF dans vos merge requests, et un build qui échoue sur les constats critiques.
Obtenir une clé APISécurité et conformité
Un inventaire toujours à jour, rattaché à PCI DSS, DORA, NIS2 et au Cyber Resilience Act.
Voir le rapportFournisseurs
Répondez aux questionnaires clients avec un rapport daté et un badge vérifiable en direct.
Obtenir le badgeTout ce qu’exige la transition post-quantique
- ScannerML-KEM hybride, versions TLS, suites et certificats, en quelques secondes.
- CBOM dans votre CIUne commande inventorie code, configurations et dépendances. Votre code ne quitte jamais votre machine.
- SurveillanceUn rescan chaque jour, et une alerte le jour où quelque chose régresse.
- Rapport de préparationUn PDF pour votre RSSI, votre auditeur et vos clients : constats, inventaire PCI DSS 12.3.3, plan daté.
- Badge vérifiéAffichez-le sur votre site. Il se met à jour seul et n’affirme jamais plus que ce que nous mesurons.
- Référentiel sourcéChaque échéance du NIST, de l’ANSSI, du BSI et de l’UE, reliée au texte d’origine.
Pensé pour les règles auxquelles vous répondez
Calendrier complet- PCI DSS v4.0.1L'exigence 12.3.3 impose depuis le 31 mars 2025 un inventaire des suites cryptographiques et protocoles, revu chaque année.En vigueur
- Cyber Resilience ActExigences essentielles de cybersécurité pour les produits, dont le chiffrement des données au repos et en transit par des mécanismes à l'état de l'art.Prochaine étape : déc. 2027
- DORAImpose une politique de chiffrement capable de faire évoluer la technologie cryptographique selon les progrès de la cryptanalyse, ainsi qu'une gestion complète du cycle de vie des clés et certificats.En vigueur
- NIS2Les mesures de gestion des risques incluent des politiques de cryptographie et de chiffrement ; une proposition de 2026 ajoute la transition post-quantique aux stratégies nationales.En vigueur
- Feuille de route UECalendrier commun européen : premières étapes et feuilles de route nationales fin 2026, systèmes à haut risque migrés fin 2030, risque moyen fin 2035.Prochaine étape : déc. 2026
- Doctrine ANSSIHybridation obligatoire dans le périmètre réglementé ; lancer l'inventaire cryptographique dès maintenant ; PQC attendue pour la qualification de produits à partir de 2027.Prochaine étape : janv. 2027
- BSI TR-02102-1PQC hybride recommandée ; échange de clés classique seul jusqu'à fin 2031 seulement ; RSA d'au moins 3000 bits.Prochaine étape : déc. 2031
- UK NCSCDécouverte et plan d'ici 2028, migrations prioritaires d'ici 2031, migration complète d'ici 2035.Prochaine étape : déc. 2028
- US federal PQC migrationInventaire cryptographique automatisé et CBOM, échange de clés PQC fin 2030, signatures PQC fin 2031, migration complète en 2035.Prochaine étape : déc. 2030
- NSA CNSA 2.0Algorithmes imposés : ML-KEM-1024, ML-DSA-87, LMS/XMSS, AES-256, SHA-384/512, avec des échéances par catégorie.Prochaine étape : déc. 2030
Questions fréquentes
Que signifie « prêt pour le post-quantique » pour un site web ?
Cela signifie que le serveur peut négocier un échange de clés post-quantique ou hybride, comme X25519MLKEM768, en TLS 1.3. Les clés de session restent alors secrètes, même face à un futur ordinateur quantique. Les certificats constituent une étape distincte : les certificats web publics sont encore RSA ou ECDSA aujourd'hui.
Le test est-il intrusif ?
Non. Il effectue des négociations TLS standard et une requête HTTP, comme le ferait un navigateur. Il ne tente jamais de se connecter à un compte, d'exploiter une faille ou de surcharger le serveur, et les résultats sont mis en cache pendant une heure pour éviter les connexions répétées.
Mon site est derrière Cloudflare ou un autre CDN. Le résultat est-il valable ?
Il est valable pour la périphérie du CDN, c'est-à-dire ce à quoi se connectent les visiteurs. La connexion entre le CDN et votre serveur d'origine est un lien TLS distinct : vérifiez-la aussi, car elle peut n'utiliser encore qu'un échange de clés classique.
S'agit-il d'une certification de conformité ?
Non. Le test documente des faits sur votre configuration TLS visible de l'extérieur, avec dates et sources. Il aide à constituer l'inventaire attendu par PCI DSS, DORA ou le CRA, mais ce n'est ni un audit ni un certificat.
Quelles échéances s'appliquent à mon entreprise ?
Cela dépend de votre secteur et de votre marché : PCI DSS pour le paiement par carte, DORA pour les entités financières de l'UE, NIS2 pour les entités essentielles et importantes, le CRA pour les produits vendus dans l'UE. Notre page Réglementations recense chaque exigence avec sa source primaire.
Recevez la lettre mensuelle post-quantique
Nouvelles échéances, données d'adoption issues de notre observatoire et guides pratiques de migration. Un e-mail par mois, sans spam, désinscription en un clic.
Commencez par un domaine
Gratuit, en quelques secondes, sans compte.